RODO a AI w firmie — co sprawdzić przed wdrożeniem
Chatbot obsługi klienta może przetwarzać imiona, historię zamówień i treść rozmów. Narzędzie dla pracowników może mieć dostęp do dokumentów kadrowych lub korespondencji. Dla każdego zastosowania trzeba określić cel, podstawę prawną, odbiorców danych i zasady ich ochrony.
RODO jest neutralne technologicznie: zostało przyjęte w 2016 roku i jest stosowane od 25 maja 2018 roku. AI nie zwalnia z jego obowiązków. Ocena dotyczy konkretnego przetwarzania, a nie samej nazwy modelu lub produktu.
Gdzie pojawiają się trudności
Rozliczalność. Firma musi wiedzieć, jakie dane trafiają do systemu, do jakich celów są wykorzystywane i kto ma do nich dostęp. Złożoność modelu nie usuwa odpowiedzialności za te decyzje.
Dane treningowe i ponowne użycie informacji. Trzeba oddzielić użycie narzędzia do udzielenia odpowiedzi od wykorzystania danych do trenowania lub ulepszania modelu. Zasady dostawcy i wybrana konfiguracja powinny odpowiadać celowi, podstawie prawnej i obowiązkom informacyjnym firmy.
Transfery danych. RODO nie nakazuje przetwarzania wyłącznie w UE. Przekazywanie danych poza Europejski Obszar Gospodarczy wymaga jednak oceny i właściwej podstawy transferu. Należy sprawdzić także podwykonawców i zdalny dostęp. Sama lokalizacja serwera w UE nie przesądza o zgodności.
Decyzje automatyczne. Art. 22 RODO dotyczy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę. Nie każde użycie AI spełnia te przesłanki. Gdy są spełnione, trzeba ocenić dopuszczalność, wyjątki i wymagane zabezpieczenia; pozorne zatwierdzenie wyniku przez człowieka może być niewystarczające.
Jakie dane przetwarza system
Inwentaryzacja powinna objąć dane wpisywane przez użytkownika, pobierane z systemów, zapisywane w logach i generowane w odpowiedziach. Mogą to być dane kontaktowe, zamówienia, aktywność, korespondencja i informacje o pracownikach.
Szczególne kategorie danych z art. 9 RODO, między innymi dane o zdrowiu, wymagają dodatkowej przesłanki z tego przepisu obok podstawy z art. 6. Samo nagranie głosu lub obrazu nie jest automatycznie szczególną kategorią danych biometrycznych; znaczenie ma sposób przetwarzania i wykorzystanie do jednoznacznego identyfikowania osoby.
Minimalizacja oznacza ograniczenie danych do tego, co jest potrzebne dla celu. Pseudonimizacja zmniejsza ryzyko, ale dane nadal podlegają RODO. Skuteczna anonimizacja wymaga oceny możliwości identyfikacji, także po połączeniu informacji z innymi źródłami.
ChatGPT i inne narzędzia: jak ocenić warunki dostawcy
Ocena narzędzia zależy od planu, funkcji, umowy i konfiguracji. Zmiana nazwy produktu lub wybór konta biznesowego sam w sobie nie potwierdza zgodności.
| Obszar | Co sprawdzić |
|---|---|
| Role stron | Czy dostawca jest procesorem, odrębnym administratorem lub pełni różne role dla różnych celów? |
| Umowa | Czy potrzebna jest umowa z art. 28 RODO i czy obejmuje konkretne przetwarzanie? |
| Trening i ulepszanie | Czy dane są wykorzystywane ponownie, na jakiej podstawie i z jakimi ustawieniami? |
| Lokalizacja i transfery | Gdzie przetwarzane są dane, kto ma dostęp i jakie zabezpieczenia transferów obowiązują? |
| Retencja | Jak długo przechowywane są dane, logi i kopie oraz jak realizowane jest usunięcie? |
| Bezpieczeństwo | Jak działają role, uwierzytelnianie, rejestrowanie dostępu i obsługa incydentów? |
| Prawa osób | Jak firma zrealizuje dostęp, sprostowanie, usunięcie lub sprzeciw tam, gdzie mają zastosowanie? |
Dotyczy to zarówno interfejsu czatu, jak i integracji API. DPA, certyfikat lub raport audytowy dostawcy są elementami oceny, a nie gwarancją zgodności całego procesu w firmie.
Obowiązki przy chatbocie obsługi klienta
Informacja. Osoba powinna otrzymać zrozumiałą informację o administratorze, celu, podstawie prawnej, odbiorcach, retencji i przysługujących prawach. Obowiązek informacji o danych i obowiązek przejrzystości interakcji z AI to powiązane, ale odrębne kwestie.
Podstawa przetwarzania. Należy ją dobrać do celu i niezbędności. Wykonanie umowy, uzasadniony interes lub zgoda mają różne przesłanki; żadna z tych podstaw nie jest automatycznie właściwa dla całego chatbota. Szczególne kategorie danych wymagają dodatkowej oceny.
Rejestr czynności. Trzeba ustalić, czy nowe narzędzie zmienia istniejącą czynność przetwarzania, czy tworzy odrębną, i zaktualizować dokumentację zgodnie z obowiązkami organizacji.
DPIA. Ocena skutków dla ochrony danych jest wymagana, gdy przetwarzanie prawdopodobnie powoduje wysokie ryzyko dla praw i wolności osób. Należy uwzględnić art. 35 RODO i właściwe wykazy organu nadzorczego. Sama etykieta AI lub pojedynczy rodzaj danych nie zastępują tej oceny.
Prawa i wyjątki. Proces musi przewidywać kontakt z człowiekiem, realizację praw osób i obsługę sytuacji, w których automat nie powinien kontynuować działania.
Lista kontrolna wdrożenia
Planowanie
- Cel, kategorie danych, osoby objęte przetwarzaniem i podstawa prawna.
- Minimalizacja, zasady dostępu oraz ocena potrzeby DPIA.
- Role firmy, dostawcy i podwykonawców.
- Ocena decyzji automatycznych oraz rzeczywistego nadzoru człowieka.
Dostawca i dokumentacja
- Warunki umowy, ewentualne powierzenie i dalsze przetwarzanie.
- Lokalizacje, dostęp z innych państw i podstawa transferów poza EOG.
- Retencja, ponowne wykorzystanie danych oraz wymagania bezpieczeństwa.
- Rejestr czynności i aktualna informacja dla użytkowników.
Działanie i utrzymanie
- Mechanizmy realizacji praw osób i obsługi wyjątków.
- Przeglądy uprawnień, konfiguracji, danych i zmian warunków dostawcy.
- Szkolenia osób korzystających z systemu.
- Procedura oceny i dokumentowania naruszeń ochrony danych.
Art. 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu co do zasady w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla praw i wolności osób. Zawiadomienie osób ma odrębny próg wysokiego ryzyka i wyjątki. Nie każdy incydent oznacza automatyczny obowiązek obu powiadomień.
AI Act obok RODO
AI Act i RODO trzeba oceniać odrębnie. W AI Act znaczenie mają przeznaczenie systemu, rola podmiotu, zakazy, klasyfikacja wysokiego ryzyka oraz właściwe obowiązki przejrzystości. Uproszczony podział na poziomy ryzyka nie obejmuje wszystkich obowiązków, na przykład kompetencji personelu w zakresie AI.
System stosowany przy rekrutacji lub ocenie osób może wymagać analizy wysokiego ryzyka. Nadzór człowieka sam nie wyłącza tej klasyfikacji. Nie każde generowanie treści oznacza też identyczny obowiązek oznaczenia — zakres art. 50 zależy od zastosowania i roli.
Kalendarz i przepisy przejściowe opisujemy w artykule o terminach AI Act. Podstawę oceny stanowi obowiązujący tekst RODO i AI Act, a dla konkretnego procesu także właściwe przepisy sektorowe.
FAQ
Czy trzeba informować klientów, że chatbot jest AI?
Art. 50 AI Act przewiduje przejrzystość dla systemów przeznaczonych do bezpośredniej interakcji z ludźmi, z określonymi wyjątkami. Trzeba ustalić właściwe obowiązki dostawcy i firmy stosującej system. Niezależnie od tego informacja o przetwarzaniu danych osobowych musi odpowiadać RODO.
Co oznacza brak DPA przy przetwarzaniu danych klientów?
Jeśli dostawca przetwarza dane w imieniu firmy jako procesor, potrzebna jest umowa lub inny instrument prawny spełniający art. 28 RODO. Najpierw trzeba prawidłowo ustalić role stron. Sam dokument nazwany DPA nie zastępuje oceny celu, podstawy prawnej, transferów i zabezpieczeń.
Czy RODO zabrania używania AI do rekrutacji?
Nie ustanawia ogólnego zakazu AI w rekrutacji. Trzeba jednak ocenić podstawę przetwarzania, niezbędność danych, przejrzystość i art. 22 dotyczący określonych decyzji wyłącznie automatycznych. Osobno należy ocenić AI Act; nadzór człowieka nie jest automatycznym wyłączeniem wysokiego ryzyka.
Czy można przetwarzać dane pracowników przez AI bez ich zgody?
Zależy to od celu, niezbędności, rodzaju danych i właściwych przepisów. Zgoda w relacji zatrudnienia często nie jest swobodna, ale uzasadniony interes ani wykonanie umowy nie są automatycznym zamiennikiem. Trzeba uwzględnić prawo pracy i ocenić podstawę dla konkretnej czynności.
Jak długo można przechowywać rozmowy chatbota?
Okres powinien wynikać z celu, wymogów prawnych i oceny niezbędności. Nie ma jednego terminu dla wszystkich logów i rozmów. Dokumenty transakcyjne, treść rozmów i logi bezpieczeństwa mogą wymagać różnych zasad retencji, które trzeba opisać i realizować technicznie.
Od procesu do uzgodnionego zakresu
Opisz jeden proces, który chcesz usprawnić, jego użytkowników i obecne trudności. To punkt wyjścia do rozmowy o możliwym rozwiązaniu.
AiP jest częścią Q-Journey, w wariantach Express i Platinum. Platinum obejmuje również konsulting Lean i Muda. Zakres audytu, harmonogram i cenę ustalamy indywidualnie. Aplikacja powstająca po audycie należy do drugiego etapu Q-Journey, także wtedy, gdy nie wymaga AI.